Luglio, 2024

ALLERTA SPOILER: Questo è il testo di accompagnamento al podcast
Il Disinformatico della Radiotelevisione Svizzera che uscirà questo
venerdì presso
www.rsi.ch/ildisinformatico.

Le puntate del Disinformatico sono ascoltabili anche tramite
iTunes,
Google Podcasts,
Spotify
e
feed RSS.

—

[CLIP: L’inizio di uno degli spot classici “Get a Mac…” (2006-2009): quello che parla di virus per Windows e si vanta dell’immunità del Mac. La musica dello spot si intitola Having Trouble Sneezing ed è di Mark Mothersbaugh dei Devo]

Ben ritrovati dopo la breve pausa estiva di questo podcast! Riparto subito con
un mito informatico da smontare, e da smontare in fretta, perché sta
contribuendo al successo di una campagna di attacchi informatici che stanno
prendendo di mira specificamente la Svizzera ma si stanno estendendo anche ad
altri paesi.

Il mito è che i Mac siano immuni ai virus. Non è così, ma molti continuano a
crederlo e si infettano scaricando app create appositamente dai criminali
informatici. Se poi a questo mito si aggiunge il fatto che queste app
infettanti fingono di essere applicazioni ufficiali governative, il successo
della trappola è quasi inevitabile.

Questa è la storia di Poseidon, un malware per Mac, un’applicazione ostile che
ruba i dati e le credenziali degli utenti di computer Apple spacciandosi per
AGOV, un’applicazione di accesso ai servizi della Confederazione e delle
autorità cantonali e comunali, per esempio per la compilazione e l’invio della
dichiarazione d’imposta, ed è anche la storia di questo mito duro da estirpare
della presunta invulnerabilità dei Mac.

Benvenuti alla puntata del 19 luglio 2024 del Disinformatico, il
podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie
strane dell’informatica. Io sono Paolo Attivissimo.

[SIGLA di apertura]

Se nei giorni avete ricevuto una mail apparentemente firmata
dall’Amministrazione federale svizzera e avete seguito il suo consiglio di
scaricare e installare sul vostro computer l’applicazione AGOV delle autorità
nazionali, come è successo a moltissimi residenti nella Confederazione, il
vostro Mac è quasi sicuramente infetto e i vostri dati personali sono quasi
sicuramente stati rubati.

L’allarme è stato lanciato dall’Ufficio federale della cibersicurezza, UFCS,
alla fine del mese scorso. Il 27 giugno,
segnala
l’UFCS,
“criminali informatici hanno avviato un’importante campagna di «malspam»
contro cittadini della Svizzera tedesca. E-mail apparentemente provenienti
da AGOV infettano gli apparecchi degli utenti di macOS con un malware
denominato «Poseidon Stealer».”

Breve spiegazione per chi non abita in Svizzera: AGOV è il sistema di accesso
online ai servizi delle autorità svizzere. Si trova presso Agov.ch ed è
disponibile anche come app per smartphone
Apple
e
Android, ma non come applicazione per computer. Agov è insomma un nome di cui gli
svizzeri si fidano. Un nome perfetto per carpire la fiducia degli utenti.

I criminali informatici di cui parla l’UFCS hanno acquisito un malware di tipo
stealer, ossia che ruba dati e credenziali di accesso, e lo hanno
rimarchiato, presentandolo appunto come software di AGOV per Mac.

Sì, avete capito bene: i criminali hanno comperato il virus informatico già
fatto. Questo specifico virus va sotto il nome generico di
Atomic MacOS Stealer (o AMOS per gli amici), ed è stato ribattezzato
Poseidon: è in vendita via Telegram sotto forma di licenza d’uso mensile che
costa 1000 dollari al mese, secondo le
informazioni
raccolte dalla società di sicurezza informatica Intego. Il crimine informatico
è un’industria, non una brigata di dilettanti, e quindi si è organizzato con
una rete di fornitori. Atomic Stealer, o Poseidon che dir si voglia, è quello
che oggi si chiama malware as a service, cioè un servizio di produzione
e fornitura di virus per computer, disponibile al miglior offerente.

Le organizzazioni criminali, in altre parole, comprano il malware chiavi in
mano e poi lo personalizzano in base al paese che vogliono prendere di mira.
Per disseminarlo usano varie tecniche: una delle preferite è comperare spazi
pubblicitari su Google, pagandoli profumatamente per far apparire i loro
annunci apparentemente innocui in cima ai risultati di ricerca degli utenti.

Ovviamente questi criminali informatici non si presentano agli agenti pubblicitari di Google dicendo “Salve, siamo criminali informatici”, ma usano aziende prestanome.

La gente, poi, cerca per esempio Agov scrivendolo in Google e vede un elenco
di risultati fra i quali spiccano le pubblicità dei criminali, che fingono di
offrire software per accedere ai servizi delle autorità nazionali. È quindi
facile, anzi inevitabile, che molti utenti clicchino su queste pubblicità, che
sono fra l’altro difficili da distinguere dai risultati di ricerca autentici. Cliccandoci
su, gli utenti vengono portati a un sito gestito dai truffatori, che propone
di scaricare il presunto software governativo, che in realtà è il malware
travestito. E chi lo scarica e lo installa, si infetta. Anche se ha un Mac.
Anzi, soprattutto se ha un Mac, perché questo malware è fatto apposta
per colpire gli utenti dei computer Apple.

Il mito dell’invulnerabilità dei Mac ha radici lontane. Per anni, Apple ha
pubblicizzato i propri computer scrivendo cose come
“I Mac non prendono i virus per PC” oppure
“un Mac non è attaccabile dalle migliaia di virus che appestano i computer
basati su Windows”.
Frasi che tecnicamente non sono sbagliate, ma sono ingannevoli per l’utente
comune, che le interpreta facilmente come “i Mac non prendono virus”,
dimenticando quella precisazione “per PC”
che cambia tutto.

Normalmente, infatti, i virus vengono creati per uno specifico sistema
operativo e funzionano solo su quello, per cui per esempio un virus per
Android non funziona su un tablet o smartphone iOS e quindi anche un virus
scritto per Mac non fa un baffo a un utente che adopera Windows. Ma i virus
per Mac esistono eccome. Tant’è vero che a giugno del 2012, dopo la comparsa
di una raffica di virus fatti su misura per i Mac, Apple tolse con discrezione
dal proprio sito quelle frasi, sostituendole con altre parole ben più blande
(Wired;
Sophos).

Eppure il mito continua a persistere.

Conoscere la tecnica di disseminazione dei malware usata dai criminali
permette di capire subito un trucco da usare per difendersi preventivamente:
si tratta di un piccolo ma importante cambiamento di abitudini, ossia
smettere di usare Google, o un altro motore di ricerca, per accedere ai siti.

Moltissimi utenti, infatti, per andare per esempio su Facebook non digitano
facebook.com
nella casella di navigazione e ricerca ma scrivono semplicemente
facebook in Google e poi cliccano sul primo risultato proposto da
Google, presumendo che sarà quello giusto. I criminali lo sanno, e creano
pubblicità che compaiono quando l’utente digita solo parte del nome di un sito
invece del nome intero. In questo modo, l’utente clicca sulla pubblicità,
credendo che sia un risultato di ricerca, e viene portato al sito dei
truffatori, dove potrà essere imbrogliato a puntino.

Il modo giusto per essere sicuri di visitare un sito autentico è scriverne il
nome per intero, compreso il suffisso .com, .ch, .it o altro che sia
nella casella di navigazione e ricerca. E se è un sito che si prevede di
consultare spesso, conviene salvarlo nei Preferiti, così basterà un solo clic
sulla sua icona per raggiungerlo di nuovo con certezza. Meglio ancora, se il
sito offre un’app, conviene usare quell’app, specialmente per i siti che
maneggiano soldi, come per esempio i negozi online e le banche.

Questa tecnica di scrivere il nome per intero invece di cliccare sul risultato
proposto al primo posto da Google si applica anche a un’altra tecnica usata
dai criminali per portarci sui loro siti trappola: i link ingannevoli nelle
mail. I criminali responsabili dell’attacco che ha colpito gli utenti svizzeri
hanno usato proprio questa modalità.

Secondo le
informazioni
pubblicate dall’autorità nazionale di sicurezza informatica Govcert.ch, questi
criminali hanno usato il servizio di mail di Amazon (che i filtri antispam
normalmente non bloccano) per inviare mail, apparentemente spedite dalle
autorità federali, che avvisavano gli utenti che da luglio 2024 sarebbe
diventato obbligatorio usare il software AGOV per computer per accedere ai
servizi federali, cantonali e comunali. La mail conteneva un link al motore di
ricerca Bing (del quale gli utenti si fidano), che portava a un sito che a sua
volta portava automaticamente a un altro sito, con un nome che somigliava a
quello giusto, come per esempio agov-access.net oppure agov-ch.com, che ospitava il malware e aveva una grafica molto simile a quella del sito
autentico.

Il malware venica presentato spacciandolo appunto per l’app AGOV per i Mac.
Che, ripeto, in realtà non esiste.

Come al solito, insomma, l’attacco faceva leva sulla psicologia: i criminali hanno
creato una situazione di stress per la vittima e le hanno messo fretta
parlando di scadenze imminenti, e hanno creato un percorso rassicurante, che
sembrava autorevole ma era in realtà pilotato dai malviventi.

A questi due ingredienti classici degli attacchi si è aggiunto il fatto che gli
utenti Apple sono spesso convinti che i loro computer siano inattaccabili e
quindi le loro difese mentali sono già abbassate in partenza.

Nel caso specifico di questo attacco, le autorità di sicurezza nazionali sono
intervenute pubblicando avvisi e bollettini sui propri siti e anche sul sito
Agov.ch, e pubblicando un’analisi tecnica molto approfondita [altre info sono su Abuse.ch]. Inoltre i siti che ospitavano il malware sono stati bloccati e disattivati.
Ma è solo questione di tempo prima che i criminali ci riprovino. Sta a noi
essere vigili e prudenti.

Se per caso siete stati coinvolti in questo attacco, l’UFCS vi
raccomanda
di eliminare immediatamente le e-mail che avete ricevuto e di fare una
reinstallazione da zero del Mac se avete scaricato e installato il malware.

A tutto questo scenario di attacchi, contrattacchi, misure preventive e
difensive conviene decisamente aggiungere anche un altro elemento
fondamentale: l’antivirus. Il malware Poseidon viene riconosciuto da tutti i
principali antivirus, per cui è opportuno installare sul proprio Mac un
antivirus di una marca di buona reputazione. A differenza di Windows, macOS
non ha un antivirus integrato vero e proprio ma ha solo una sorta di
mini-antivirus che fa molto, ma non arriva al livello di protezione di un
prodotto dedicato realizzato da aziende specializzate.

La parte più difficile dell’installazione di un antivirus su un Mac è…
convincere l’utente che ne ha bisogno. Quel mito di invulnerabilità creato,
sfruttato e poi silenziosamente ritirato più di dieci anni fa continua a
restare radicato nelle abitudini delle persone. E a fare danni.